@galaxis@freiburg.social

Alexander Bochmann (DE) @galaxis@freiburg.social · Mar 03, 2026

Replying to @galaxis@freiburg.social

Seufz. Kaum ist die Kuh vom Eis, kommt die nächste Runde an Mastodon Support - Spam...

4

0

Alexander Bochmann (DE) @galaxis@freiburg.social · Feb 28, 2026

Replying to @galaxis@freiburg.social

Ich sach' mal, in Sachen Platzverbrauch für den Mediencache und -Proxy scheint sich das erstmal wieder zu normalisieren. Nach dem 90%-Peak (Alerting funktioniert jetzt) hatte ich den Zugriff auf den Proxy geblockt, seit gestern läuft ein Patch, der unauthentisierte Zugriffe auf den Proxy ausbremst. Insofern normalisiert sich die Lage in der Hinsicht, aber die Bots tanzen immer noch lustig mit 100.000en Requests am Tag auf den Fehlermeldungen rum...

3

2

0

Alexander Bochmann (DE) @galaxis@freiburg.social · Feb 28, 2026

Replying to @stevE@freiburg.social

@stevE@freiburg.social Hm, geht bei mir auch nicht. In dem Thread ist auch ein Artikel mit Bild, das wird geladen. Keine Ahnung, ob's da auch noch eine Einschränkung auf Medientypen gibt...

1

0

Alexander Bochmann (DE) @galaxis@freiburg.social · Feb 27, 2026

Replying to @stevE@freiburg.social

@stevE@freiburg.social Ich habe testweise einen kleinen Patch eingebaut, der unterschiedliche Ratelimits für angemeldete und nicht angemeldete Clients einführt: https://github.com/mastodon/mastodon/issues/37987 Das heisst, für angemeldete User sollte der Media Proxy jetzt erstmal wieder funktionieren. Mal schauen, ob sich das bewährt...

4

2

0

Alexander Bochmann (DE) @galaxis@freiburg.social · Feb 25, 2026

Replying to @stevE@freiburg.social

@stevE@freiburg.social Leider gibt es da ein paar Lücken im Berechtigungskonzept bzw. dessen Steuerung. Wir haben unauthentisierte Zugriffe auf bei uns vorhandene Inhalte von anderen Instanzen schon weitgehend deaktiviert, aber zum Beispiel sowas wie die Trends (und die Artikel, die darüber angezeigt werden) lassen sich nur komplett fürballe an- oder abschalten. Auf die Mediendaten gibt es gar keine Berechtigungen, die sind nur durch ihre nicht erratbare URL vor direktem Abruf geschützt (aber natürlich ausnahmslos aus Beiträgen verlinkt, die man vorher indiziert haben kann)... Der Medienproxy ist nochmal ein eigenes Ding und steckt irgendwo dazwischen (auch grundsätzlich unauthentisiert, aber es gibt z.B. unterschiedliche Limits für angemeldete und nicht angemeldete Zugriffe). Mein Vorschlag wäre auch, diesen Proxy nur für angemeldete Sessions verfügbar zu machen, aber im Moment hat Mastodon es dafür keine Optionen.

1

2

0

Alexander Bochmann (DE) @galaxis@freiburg.social · Feb 25, 2026

Replying to @cccpresser@chaos.social

@cccpresser@chaos.social @orava@ruhr.social Schwierig, der oder die Akteure haben Kontrolle über (vermutlich) ein großes Botnetz, das Zugriffe von hunderttausenden Adressen von Internetprovidern und Hostinganbietern aus Asien, Afrika, Südamerika initiieren kann. USA, Europa, Deutschland kommen nur sehr vereinzelt als Quelle vor. Das Interesse scheint sich auf Bilder zu konzentrieren. Ich kann mir zwar nicht vorstellen, dass ausgerechnet wir die einzigen Betroffenen sind, aber zumindest unter den Leuten, die Mastodon-Instanzen betreiben, hat sich noch niemand mit den selben Erfahrungen gemeldet... Ganz allgemein sind aggressiv datensammelnde Bots aber leider auch einfach normal heutztage. Im Moment betreiben wir Logging nur zur Fehleranalyse, wenn es im Fall einer Anzeige tatsächlich zu Ermittlungen käme, müssten wir wahrscheinlich detailliertere Daten sammeln und liefern. Das würde zumindest ich persönlich gerne vermeiden.

4

0

Alexander Bochmann (DE) @galaxis@freiburg.social · Feb 24, 2026

Replying to @galaxis@freiburg.social

...abgesehen davon ist jetzt Mastodon v4.5.7 installiert, wieder mit ein paar kleineren Bugfixes: https://github.com/mastodon/mastodon/releases/tag/v4.5.7

7

2

0

Alexander Bochmann (DE) @galaxis@freiburg.social · Feb 24, 2026

@wir@freiburg.social schlagen uns weiter mit wildgewordenen Bots rum, die von zehntausenden weltweit verteilen Quellen aus versuchen, Daten von freiburg.social abzugreifen.

Besonders schmerzt dabei, dass der Medienservice von Mastodon verwendet wird, um Bilder von anderen Instanzen über uns abzurufen, was uns durch die dafür erforderliche Zwischenspeicherung regelmäßig Platzprobleme bringt. Da jede dieser Quelladressen nur wenige Zugriffe macht, greifen die in Mastodon dafür eingebauten Limits nicht.

Ich habe temporär die /media_proxy/ - URL, die für diese Abrufe verwendet wird, komplett geblockt. Deshalb können bei Posts von anderen Instanzen, die älter als eine Woche sind, keine Bilder und andere Medienanhänge auf freiburg.social mehr angezeigt werden.

Alleine in den letzten 15 Minuten wurden dadurch über 20.000 Zugriffsversuche abgelehnt.

Ich hoffe, dass die Mastodon-Entwickler bald eine Lösung für dieses Problem finden...

@admin@freiburg.social

55

12

42

0

Alexander Bochmann (DE)

Posts

Remote instance